Cibercriminosos lan\u00e7aram uma campanha de infostealer que usa um instalador falso do OpenClaw para roubar credenciais de carteiras de criptomoedas, gerenciadores de senhas e extens\u00f5es de autentica\u00e7\u00e3o em navegadores. A a\u00e7\u00e3o est\u00e1 em curso desde fevereiro de 2026.<\/p>\n
O golpe envolve um arquivo denominado OpenClaw_x64.7z, disponibilizado em um site enganoso registrado em mar\u00e7o. Dentro h\u00e1 um execut\u00e1vel em Rust de cerca de 130 MB, inflado com documenta\u00e7\u00e3o falsa para dificultar a an\u00e1lise.<\/p>\n
Antes de executar suas fun\u00e7\u00f5es, o malware verifica se est\u00e1 em m\u00e1quina virtual ou em ambiente de an\u00e1lise. Procura sinais de sandbox, bibliotecas suspeitas e perfis de hardware incomuns, al\u00e9m de aguardar movimento do mouse para confirmar uso humano.<\/p>\n
Passadas as verifica\u00e7\u00f5es, o instalador falso desativa o Windows Defender, abre portas no firewall e baixa seis m\u00f3dulos adicionais. Cada componente realiza coleta de dados, persist\u00eancia, comunica\u00e7\u00e3o com servidores de comando e execu\u00e7\u00e3o de cargas em mem\u00f3ria.<\/p>\n
A fase de roubo mira uma lista remota com 250 extens\u00f5es de navegador, incluindo 201 carteiras cripto como MetaMask e Phantom, al\u00e9m de 49 gerenciadores de senhas e autenticadores como Bitwarden e LastPass.<\/p>\n
A lista de alvos fica hospedada em um reposit\u00f3rio controlado pelos invasores, permitindo atualizar servi\u00e7os visados sem alterar o malware.<\/p>\n
A campanha tamb\u00e9m tenta acessar dados do Ledger Live no sistema de arquivos, abrindo caminho para extrair informa\u00e7\u00f5es ligadas a criptoativos.<\/p>\n","protected":false},"excerpt":{"rendered":"